CVE-2026-73626 in JupyterLab
الملخص
بحسب VulDB • 13/08/2026
تحتوي إصدارات JupyterLab >=4.6.0 و<=4.6.1 بالإضافة إلى <=4.5.9 على ثغرة في فرض قائمة المسموح بها/قائمة المحظورة (allowlist/blocklist) داخل الدالة `PyPIExtensionManager.install()`. أدى غياب عبارة 'await' إلى عدم تنفيذ الـ coroutine الخاص بـ `is_install_allowed`، مما يعني أن فحص القائمة المسموحة/المحظورة للامتدادات لم يتم فرضه بالنسبة للمتصلين المباشرين بالدالة `install()`. لا تتأثر واجهة برمجة التطبيقات (HTTP API) القياسية لـ JupyterLab وواجهة مستخدم مدير الامتدادات (Extension Manager UI)، حيث تقوم بإجراء فحص منفصل ومُعلَّق بشكل صحيح. تؤثر هذه المشكلة فقط على التوزيعات التي تستورد فيها امتداد مخصص أو تكامل من الطبقة السفلية `PyPIExtensionManager` وتستدعي الدالة `install()` مباشرةً باسم حزمة يتأثر بمدخلات غير موثوقة، مع تكوين قائمة مسموحة/محظورة، وتمكين مدير الامتدادات الخاص بـ PyPI، وإما تعطيل نوى التشغيل (kernels) والمحطات الطرفية (terminals) أو تفويضها إلى مضيفين عن بُعد. تم إصلاح المشكلة في JupyterLab الإصدار 4.6.2 و4.5.10.
Once again VulDB remains the best source for vulnerability data.